В зависимости от организации СБ может выполнять различные функции, в том числе функции необходимые для выполнения лицензионных требований и требований законодательства (например требования по защите КИИ). Если требования к вашей организации предъявляются, то положительное прохождение проверок, аудита государственным контролирующим органам в этой сфере можно считать за результат работы СБ. Однако необходимо отличать формальное выполнение требований по «документам» и реально существующую систему, которая реально защищает субъект КИИ. Тема КИИ, вообще, такая масштабная и крупная, что для нее лучше выделить отдельную главу. Если же законодательных требований к вашей организации нет в сфере СБ, то на первый взгляд работа СБ может показаться как «наша служба и опасна и трудна, и на первый взгляд, как будто не видна…» и так часто бизнес видит работу СБ «закроются у себя в коморке, только работать мешают, лезут постоянно в наши дела». Но для бизнеса СБ всегда должен быть помощником, невидимым стоп-краном и защитой от высоких рисков. Например не проблема нарастить кредитный портфель, но кто потом будет заниматься просроченной задолженностью? Не проблема найти самое дешевое предложение на рынке за товар и услугу? Но кто будет потом возвращать деньги за некачественный товар? Искать продавца? И получается что цена уже выступает не самым главным критерием. Лучше предупредить чем бороться с последствиями это логично, оправданно и эффективно. Можно не мыть руки перед едой, а потом неделю лечить отравление. А можно потратить несколько минут в день и забыть об этой проблеме. Так и в бизнесе, СБ должна быть внутри каждого критичного бизнес-процесса, который при сбое может приостановить деятельность организации или нарушить договорные обязательства. И эффективность СБ это в первую очередь насколько она сама разобралась в процессах в организации, чтобы знать куда посмотреть и насколько глубоко. В период экономических шоков, ресурсы в том числе и штатные не безграничны, очень важно СБ не тратить свои временные ресурсы на некритичные области, а сосредоточиться на основных процессах, где протекают материальные ценности, финансы, информационные потоки. Иногда от СБ требуют «палок», например кол-во материалов отправленных в правоохранительные органы, иначе зачем они нужны? Но я бы оценивал СБ по 4 показателям: скорость обработки информации (время от запроса в СБ, то ответа руководства или другому подразделению), точность и качество (была ли пропущена информация, которая позже вылилась в высокий риск), экономический эффект (сумма возмещённого и предотвращённого ущерба), соблюдение регламентов (насколько строго выполняются внутренние процедуры). Вес каждого параметра зависит от конкретной организации и руководство соответствующим образом настроить процедуры KPI для например премирования подразделения СБ. Для более качественной оценки также можно добавить некоторые другие процедуры: аудиты, пентесты, количественные показатели инцидентности. Также можно разработать свою систему показателей для конкретного бизнеса. Важно отметить что деятельность СБ имеет накопительный и мультипликативный эффект. Чем качественнее мы предупредим событие с высоким риском для бизнеса, тем меньше мы будем отвлекать ресурсы компании на разгребание последующих последствий. И чем меньше организации, тем лучше это видно. Например, даже простое дело по ст. 159 УК РФ может длиться легко 5 лет (с момента подачи заявления до решения суда), оно может и не включать еще и последующий гражданский процесс по восстановлению прав потерпевших. А теперь сколько временных затрат и ресурсов оно отвлечет от работников организации (представление интересов в суде, подготовка материалов, сам процесс, различные сотрудники, передача дел) это все выливается в сотни часов рабочего времени, которое могло быть потрачено на текущуюоперационную деятельность. Так и еще результат процесса может не принести никаких плюсов кроме «закон восторжествовал».